OpenVPN vs WireGuard: qual protocolo escolher?

Diferenças fundamentais

OpenVPN: modularidade e resistência de um protocolo baseado em TLS

OpenVPN foi criado em 2001. Usa TLS no canal de controle e protege os dados com AES-GCM ou ChaCha20. Funciona em UDP ou TCP e pode usar quase qualquer porta.

Arquitetura flexível:

• Pode usar UDP para melhorar a velocidade ou TCP quando a rede restringe UDP.
• Pode funcionar em TCP 443, a porta habitual de HTTPS.
• Pode ser combinado com stunnel, obfs4 ou outras camadas de ofuscação.

Complexidade: a implementação e suas dependências têm muito mais linhas de código que WireGuard. Maturidade e auditorias reduzem parte do risco, mas uma base extensa é mais difícil de revisar e configurar. A fonte compara cerca de 70.000 linhas para OpenVPN com mais de 500.000 em OpenSSL, uma dependência importante.

Desempenho dependente do equipamento: sem aceleração AES-NI, pode consumir bastante processador. Em celulares, roteadores econômicos e dispositivos embarcados, pode reduzir a autonomia e limitar a velocidade. Transportar TCP dentro de um túnel TCP também pode provocar retransmissões duplas e instabilidade.

WireGuard®: criptografia compacta e desempenho

WireGuard foi integrado ao núcleo Linux em 2020 e usa o Noise Protocol Framework. Sua implementação principal tem cerca de 4.000 linhas de código, o que facilita a revisão. Seu modelo criptográfico foi analisado formalmente e usa primitivas fixas, como ChaCha20-Poly1305, Curve25519 e BLAKE2s.

Vantagens operacionais:

• A negociação costuma ser concluída em menos de um segundo.
• A latência e o consumo de processador costumam ser menores.
• O desempenho é estável mesmo em equipamentos modestos.
• Em vários testes citados pela fonte, o uso de processador foi 20 a 40% menor.
• A conexão se adapta rapidamente quando a rede muda.

Limites: usa UDP, não inclui camuflagem nativa e seu padrão de negociação pode ser reconhecido por inspeção de tráfego. Para atravessar censura ou filtros avançados, precisa de uma camada adicional. Como é executado perto do núcleo do sistema, uma vulnerabilidade de implementação seria crítica, embora o tamanho reduzido do código facilite sua revisão.

Comparativo técnico

O que realmente importa

Desempenho

WireGuard costuma oferecer conexões mais rápidas, menor latência e melhor autonomia em redes abertas. A diferença é especialmente visível em roteadores com processadores modestos e em celulares. OpenVPN pode se aproximar quando o equipamento tem aceleração AES-NI ou quando o servidor está bem dimensionado. Em roteadores ARM modestos, a fonte observa diferenças que podem chegar a multiplicar o desempenho por três ou oito a favor de WireGuard, conforme o equipamento e a configuração.

Censura e firewalls

OpenVPN oferece mais opções quando a rede é hostil: TCP 443 se mistura melhor ao tráfego HTTPS, aceita preenchimento e pode ser combinado com ferramentas de ofuscação. WireGuard tem uma negociação rígida, usa UDP e não inclui camuflagem. Em redes com inspeção profunda, pode ser bloqueado se o provedor não acrescentar um transporte furtivo.

Segurança e privacidade

OpenVPN oferece maturidade, configuração detalhada e compatibilidade com ambientes regulados, mas também uma superfície de ataque maior. WireGuard tem um projeto pequeno e criptografia moderna, mas a relação entre a chave pública e o endereço interno precisa ser gerenciada corretamente. Serviços sérios usam atribuições dinâmicas, rotação e armazenamento temporário. WireGuard também mantém chaves privadas no cliente e chaves públicas estáveis; isso exige um gerenciamento cuidadoso, mas não significa que o protocolo registre a navegação por conta própria.

Nos dois casos, os maiores riscos geralmente estão na implementação do servidor, na configuração e na política de registros, não no nome do protocolo.

Compatibilidade

OpenVPN funciona em sistemas antigos, roteadores, NAS e equipamentos especializados. WireGuard está integrado ao Linux e é compatível com sistemas atuais por aplicativos, mas alguns equipamentos antigos não o oferecem ou o executam com limitações.

Matriz de decisão

OpenVPN é adequado quando:

• A rede bloqueia UDP ou aplica filtros rigorosos.
• É necessário TCP 443 ou ofuscação.
• O equipamento ou sistema é antigo.
• A infraestrutura exige configurações TLS específicas.

WireGuard® é adequado quando:

• A prioridade é velocidade ou baixa latência.
• O celular alterna frequentemente entre Wi-Fi e dados móveis.
• Você quer reduzir o consumo de bateria.
• O roteador ou NAS é moderno, e a rede não aplica censura ativa.

O que não deve determinar a escolha

• “WireGuard não protege a privacidade”: depende de como o provedor gerencia chaves e registros.
• “OpenVPN sempre é mais seguro”: a segurança depende da configuração.
• “WireGuard ainda é experimental”: é amplamente usado em produção desde 2020.
• “OpenVPN ficou obsoleto”: mantém uma função importante em redes hostis e equipamentos antigos.

Como testar os protocolos em uma rede

1. Comece com WireGuard por UDP.
2. Se estiver bloqueado ou instável, teste OpenVPN por UDP.
3. Se UDP estiver restrito, use OpenVPN por TCP 443.
4. Se a inspeção continuar bloqueando a conexão, use a ofuscação oferecida pelo provedor.

Teste na rede e no dispositivo habituais. Compare estabilidade, reconexão, consumo e latência, não apenas uma medição isolada de velocidade.

Glossário breve

• DPI: inspeção profunda de pacotes.
• Negociação: troca inicial que estabelece as chaves de sessão.
• AES-NI: instruções do processador que aceleram AES.
• Noise Protocol: estrutura para projetar protocolos criptográficos.
• Ofuscação: técnicas que disfarçam o tráfego VPN.
• Mobilidade: continuidade quando a conexão de rede muda.

Dois protocolos complementares

WireGuard® é uma excelente opção diária pela velocidade, simplicidade e eficiência. OpenVPN continua essencial em redes filtradas, equipamentos antigos ou quando é necessária mais flexibilidade.

Vale escolher um serviço que ofereça ambos e alternar conforme o contexto. Velocidade máxima, número anunciado de servidores ou uma frase comercial não substituem um teste na rede real. Consulte também IKEv2 ou OpenVPN e a visão geral dos protocolos VPN.